Киев 2016
Первый в Украине фестиваль тестирования
Трафик мобильных
приложений: анализ и
модификация
Олег Никифоров

whoami
Трафик мобильных приложений: анализ и модификация @ddr3ams

Структура доклада
1. Особенности мобайл трафика
2. “REST”
3. Структура запроса / ответа
4. Что такое снифферы
5. Зачем снифферы
6. Почему Burp, чем отличается от других
7. Практика
Трафик мобильных приложений: анализ и модификация @ddr3ams

Особенности трафика мобильных приложений
- Нужны тулзы для просмотра
- Очень много разных запросов (сервер, статистика, реклама, etc.) - нужно
фильтровать
- Отсылка запросов в фоне
Трафик мобильных приложений: анализ и модификация @ddr3ams

Client => SOAP/REST => Server
Application layer via HTTP/HTTPS
Трафик мобильных приложений: анализ и модификация @ddr3ams

Трафик мобильных приложений: анализ и модификация @ddr3ams

RESTful vs. “RESTful”
Трафик мобильных приложений: анализ и модификация @ddr3ams

Структура запроса: метод GET
Трафик мобильных приложений: анализ и модификация @ddr3ams

Трафик мобильных приложений: анализ и модификация @ddr3ams

Структура запроса: метод POST
Трафик мобильных приложений: анализ и модификация @ddr3ams

Трафик мобильных приложений: анализ и модификация @ddr3ams

Структура ответа
Трафик мобильных приложений: анализ и модификация @ddr3ams

Трафик мобильных приложений: анализ и модификация @ddr3ams

Статус коды
Трафик мобильных приложений: анализ и модификация @ddr3ams

Что такое снифферы
Сниффер - сетевой анализатор трафика,
который пропускает через себя пакеты
и выводит связку запрос-ответ
в читабельном виде
В качестве снифферов используются разные
приложения: Fiddler, Charles Proxy, Burp Suite, TcpCatcher, etc.
Трафик мобильных приложений: анализ и модификация @ddr3ams

ЗОЧЕМ???
Трафик мобильных приложений: анализ и модификация @ddr3ams

Зачем: мониторинг без вмешательства в данные
Валидация запросов:
- Url
- Заголовки
- Параметры (название/значение)
Валидация ответов:
- Заголовки
- Тело (формат, структура, параметры)
Симуляция time-out
Трафик мобильных приложений: анализ и модификация @ddr3ams

Зачем: манипуляция данными
Трафик мобильных приложений: анализ и модификация @ddr3ams
Подмена контента в запросе:
● Url,
● Значения параметров,
● Значения заголовков
Подмена контента в ответе:
● Значения параметров,
● Значения заголовков,
● Ссылки на медиа файлы (фото, аудио, видео))

Позитивные сценарии
• Изменить user status на лету: free/paid, approved/not approved
• Loadmore с произвольным количеством элементов:
o быстро проверить нагрузку (загрузить много айтемов);
o проверить отображение конца списка;
o проверить вызов loadmore на граничных значениях
Трафик мобильных приложений: анализ и модификация @ddr3ams

Негативные сценарии
• Изменения значений параметров для обхода локальной валидации
• Вызов серверных ошибок для проверки их обработки на клиенте:
o пустые required fields;
o ошибочные данные;
o неверный токен авторизации
• Вызов ошибок в аппе путем подмены ответа от сервера:
o пустые параметры в ответе;
o невалидные значения (string вместо int и т.д.);
o невалидная структура ответа
Трафик мобильных приложений: анализ и модификация @ddr3ams

Почему Burp?
Плюсы и минусы:
+ Бесплатный
+ Scope
+ Удобный UI
+ Многофункциональный
- Не позволяет менять параметры соединения
- Бесплатная версия не позволяет сохранить/загрузить сессию (но
позволяет делать экспорт)
Трафик мобильных приложений: анализ и модификация @ddr3ams

Party time!
Untappd - соц сеть для любителей пива:
- Можно добавлять пиво
- Заводить друзей
- Писать отзывы
Чем полезно:
- Авторизация
- Таблицы
- Картинки
- Понятное API
Трафик мобильных приложений: анализ и модификация @ddr3ams

Плюсы использования
• Возможность эмулировать тайм-ауты
соединения
• Возможность эмулировать серверные
ошибки
• Возможность манипулировать данными
как в запросе, так и в ответе
Трафик мобильных приложений: анализ и модификация @ddr3ams

Минусы использования
• Если не выключить прокси когда
выключен сниффер – запросы не
будут работать (фон)
• Увеличивается время на
операцию запрос – ответ
Трафик мобильных приложений: анализ и модификация @ddr3ams

О чем я умолчал
Как настроить Burp Suite и установить сертификат
Как обойти защиту от MiTM
Трафик мобильных приложений: анализ и модификация @ddr3ams

Q&A
Skype: navisnobilite
Twitter: ddr3ams
https://stanfy.com/blog/monitor-mobile-app-traffic-with-sniffers/
Трафик мобильных приложений: анализ и модификация @ddr3ams